SIG
Standardized Information Gathering-spørgeskemaet vedligeholdes af Shared Assessments og er det, banker, forsikringsselskaber og store virksomheder oftest sender. Det findes i to størrelser. SIG Core er det fulde bibliotek, flere hundrede spørgsmål på tværs af omkring tyve domæner: adgangskontrol, aktivstyring, applikationssikkerhed, forretningsrobusthed, cloud, regeloverholdelse, databeskyttelse, personale, hændelsesstyring, netværkssikkerhed, fysisk sikkerhed, privatlivsbeskyttelse, leverandørstyring, trusselshåndtering. SIG Lite er et udvalg på omkring hundrede spørgsmål, der bruges til leverandører med lavere risiko og første gennemgange.
Spørgsmål besvares med ja, nej eller ikke relevant, med en kommentarkolonne. Værdien ligger i kommentaren. Et rent ja til "Gennemgås adgangsrettigheder regelmæssigt?" fortæller personen, der gennemgår det, ingenting. "Kvartalsvis, af IT lead, resultater i ticketingsystemet" fortæller det hele.
CAIQ
Consensus Assessment Initiative Questionnaire kommer fra Cloud Security Alliance og knytter sig til deres Cloud Controls Matrix. Det er det spørgeskema, cloud- og SaaS-udbydere får, og strukturen følger kontrolmatrixens domæner: applikations- og grænsefladesikkerhed, revisionssikkerhed, forretningskontinuitet, ændringskontrol, datasikkerhed, kryptering og nøglestyring, governance, identitet og adgang, infrastruktursikkerhed, logning og overvågning, leverandørkæde, trussels- og sårbarhedsstyring.
Fordi den er bygget til delt ansvar, besvares mange rækker delvist af din hostingudbyder. De store udbydere offentliggør deres egne udfyldte CAIQ; at citere den rigtige række i den er den accepterede måde at besvare de spørgsmål på, med en sætning om, hvad du selv gør oveni.
DDQ'en
Et due diligence-spørgeskema er det, en kundes indkøbs- eller risikoteam sender før underskrift, og det er bredere end sikkerhed. Forvent afsnit om virksomheden (ejerskab, antal år i drift, nøglepersoner), økonomi og forsikring, juridisk og regulatorisk status, forretningskontinuitet, databeskyttelse og privatliv og derefter et sikkerhedsafsnit, som normalt er en forkortet SIG eller CAIQ. Finansielle institutioner og offentlige myndigheder sender de længste. Sikkerhedsafsnittet er der, hvor dit svarbibliotek kan bruges. Resten besvares én gang og ændrer sig sjældent.
Det deler de
Omtrent to tredjedele af sikkerhedsspørgsmålene i et hvilket som helst af de tre spørger om det samme med forskellige ord: hvordan du styrer adgang, hvordan du beskytter data i hvile og under overførsel, hvordan du udvikler og ændrer software, hvordan du finder og udbedrer sårbarheder, hvordan du håndterer hændelser, hvordan du holder tjenesten kørende, hvem dine leverandører er, og hvordan du træner folk. Formuleringen er forskellig, nummereringen er forskellig, ja/nej/kommentar-formatet er forskelligt. Fakta er ikke.
Det gælder for ét svarbibliotek med ét godkendt svar pr. faktum, skrevet i et neutralt tonefald, som rækkerne i hvert spørgeskema udarbejdes fra. Alternativet, en udfyldt SIG her og en udfyldt CAIQ der, glider fra hinanden inden for to kvartaler: SIG siger, at backups testes månedligt, CAIQ siger kvartalsvist, og en reviewer, der har begge, spørger, hvad der er rigtigt.
Sådan svarer du på alle tre fra ét sted
Gem fakta, ikke spørgeskemaerne. For hver kontrol ét godkendt svar med ejer, dokumentation og dato. Når en SIG kommer, udarbejder du hver række fra det bibliotek, gennemgår dem, biblioteket kun halvt dækker, og eksporterer til SIG'ens egen fil. Når CAIQ'en kommer, besvarer det samme bibliotek den med CAIQ'ens ord. Viden i Responsemate er der, hvor det bibliotek bor, med dokumentation og dato på hver post, og de spørgsmål, du aldrig har skrevet et svar på, dukker op som de rækker, AI'en ikke kan udarbejde.
Spørgsmål, folk stiller
Skal vi udfylde SIG, hvis kunden sender det?
Som regel ja, men du kan sende SIG Lite eller din egen udfyldte SIG fra tidligere på året, hvis kunden accepterer det, og det gør mange. Spørg, før du går i gang. En kunde, der er tilfreds med din senest udfyldte SIG, sparer begge parter for en uge.
Er CAIQ kun for cloududbydere?
Det blev skrevet til cloudtjenester, men enhver SaaS virksomhed får det, fordi du for kunden er en cloudtjeneste. Hvis du hoster hos en stor udbyder, beskriver en del af CAIQ deres kontroller, og deres egen offentliggjorte CAIQ er din dokumentation for de rækker.
Hvad er forskellen på en DDQ og et sikkerhedsspørgeskema?
En DDQ er bredere. Den spørger både om virksomheden (ejerskab, økonomi, forsikring, forretningskontinuitet) og om sikkerhed. Sikkerhedsafsnittet i en DDQ er som regel en forkortet version af en SIG eller CAIQ.